如何用C#执行动态SQL查询？需要注意什么安全问题？-C#.Net教程-PHP中文网

如何用C#执行动态SQL查询？需要注意什么安全问题？

星降

发布： 2025-10-19 14:02:02

原创

733人浏览过

使用SqlCommand可执行动态SQL，但需防范SQL注入。应优先对值使用参数化查询，对表名等结构部分采用白名单校验并包裹标识符，结合最小权限原则保障安全。

如何用c#执行动态sql查询？需要注意什么安全问题？

在C#中执行动态SQL查询通常通过 ADO.NET 实现，比如使用 SqlConnection、SqlCommand 和字符串拼接或参数化方式构建SQL语句。虽然动态SQL提供了灵活性，但也带来了安全风险，特别是SQL注入攻击。

如何执行动态SQL查询

以下是一个使用 SqlCommand 执行动态SQL的基本示例：

using (var connection = new SqlConnection(connectionString))
{
    connection.Open();

    string tableName = "Users";
    string condition = "Age > 30";

    // 动态构建SQL
    string sql = $"SELECT * FROM {tableName} WHERE {condition}";

    using (var command = new SqlCommand(sql, connection))
    {
        using (var reader = command.ExecuteReader())
        {
            while (reader.Read())
            {
                // 处理结果
            }
        }
    }
}

登录后复制

上面的例子中，SQL语句是拼接生成的，适用于表名、列名等无法通过参数传递的场景。

必须注意的安全问题：SQL注入

直接拼接用户输入到SQL语句中非常危险。攻击者可能通过构造恶意输入篡改SQL逻辑，例如：

蚂上有创意

支付宝推出的AI创意设计平台，专注于电商行业

查看详情

输入条件为：1=1; DROP TABLE Users; --，可能导致删除表。
绕过登录验证：' OR '1'='1 可能使身份检查失效。

参数化查询能有效防止这类攻击，但仅适用于 值（values），不能用于表名、列名、关键字（如 ORDER BY、WHERE）等SQL结构部分。

安全实践建议

优先使用参数化查询：对于 WHERE 条件中的值，始终使用 SqlParameter。

string sql = "SELECT * FROM Users WHERE Age > @age";
command.Parameters.AddWithValue("@age", userAge);

登录后复制

避免拼接用户输入：不要将用户输入直接插入SQL字符串，尤其是表名、列名。
若必须拼接对象名，使用白名单校验：例如，限制表名为程序内预定义的几个选项。
```
if (!new[] { "Users", "Orders", "Products" }.Contains(tableName))
      throw new ArgumentException("Invalid table name");
```
登录后复制
使用引号包裹标识符：用方括号（SQL Server）或反引号（MySQL）包裹动态对象名，减少语法错误和注入风险。
```
string sql = $"SELECT * FROM [{tableName}]";
```
登录后复制
最小权限原则：数据库账户应仅具备必要权限，避免使用 sa 或高权限账号执行应用查询。
日志记录与监控：记录异常SQL执行行为，有助于发现潜在攻击。